Métadonnées photo : ce qu'un site de petites annonces révèle vraiment sur le lieu de vie de ses annonceurs

Un annonceur qui crée une nouvelle annonce fait le geste le plus naturel : il ouvre l'appareil photo, prend quelques clichés avec une bonne lumière, les téléverse sur son compte, puis publie l'annonce. Rien dans ce processus ne ressemble à une décision de sécurité. Cela ressemble simplement au moyen le plus rapide de mettre une page en ligne, et sur la plupart des sites, c'est effectivement aussi rapide que cela : rien ne se trouve entre la photo prise cinq minutes plus tôt et la photo qu'un inconnu voit sur la page.

Ce que cet inconnu peut voir ne se limite pas à ce qui apparaît dans le cadre. Les appareils photo des smartphones qui ont l'autorisation d'utiliser la localisation, ce qui est le cas de la plupart d'entre eux, la plupart du temps, inscrivent la latitude et la longitude exactes du lieu de prise de vue dans un bloc de données intégré au fichier lui-même, appelé métadonnées EXIF. Ces coordonnées voyagent avec le fichier tout au long du téléversement, du stockage et de la publication, sauf si un élément de cette chaîne les supprime volontairement. Une photo prise dans la propre chambre d'un annonceur, pour une annonce censée montrer une chambre, contient par défaut l'adresse de cette chambre.

Il ne s'agit pas d'une faille théorique découverte par un chercheur en sécurité. C'est exactement le même choix de conception que tous les fabricants de téléphones ont fait pour les photographes qui veulent que leurs photos de vacances soient classées par lieu, appliqué sans exception à une photo destinée à un public totalement différent. L'appareil photo ne sait pas, et ne peut pas savoir, que cette photo précise va se retrouver dans un endroit où la personne qui l'a prise préférerait vivement que son adresse personnelle n'y soit pas rattachée.

Ce qu'un téléphone inscrit discrètement dans chaque photo

Le détail technique à comprendre, car il détermine ce qu'une correction doit réellement faire, est que les données EXIF se trouvent à l'intérieur du fichier image lui-même, dans une section que l'œil ne voit jamais et que la plupart des visualiseurs de photos n'affichent que sur demande. Ce n'est ni une légende, ni un nom de fichier, ni rien que l'annonceur aurait tapé. Elles apparaissent au moment même où le déclencheur se referme, ajoutées automatiquement par le système d'exploitation, et elles survivent au renommage, au déplacement ou à l'envoi en pièce jointe par e-mail. Ce qui les supprime de manière fiable, c'est le réencodage de l'image : décomposer les données de pixels et écrire un nouveau fichier, une opération qui élimine les anciennes métadonnées, sauf si un outil est explicitement configuré pour les conserver.

Le cas que presque tout le monde a déjà rencontré, sans savoir pourquoi cela fonctionnait, est qu'une capture d'écran d'une photo ne contient aucune donnée de localisation, car une capture d'écran est une toute nouvelle image de ce que l'écran affichait, sans aucune des données cachées du fichier d'origine. C'est aussi pour cette raison qu'un annonceur bien intentionné ne peut pas se protéger de façon fiable en désactivant simplement les services de localisation après coup : toute photo déjà prise avec ce réglage activé contient déjà les coordonnées, et désactiver le réglage ne change que ce qui arrivera à la prochaine photo, pas à celles qui se trouvent déjà dans la pellicule en attente d'être téléversées.

Rien de tout cela n'est nouveau ni obscur. Une étude menée en 2012 par l'université du Colorado à Boulder a examiné quatre-vingt-dix sites de rencontres et découvert que vingt et un d'entre eux, dont la majorité appartenait à la même entreprise, publiaient les photos des utilisateurs sans en retirer les données de localisation intégrées. Ce n'est pas le résultat isolé d'un acteur marginal. C'est environ un quart de tout un secteur qui, il y a plus de dix ans déjà, distribuait discrètement des adresses personnelles par le biais d'une fonctionnalité que personne sur ces sites n'avait demandée ni même su qu'elle existait.

Pourquoi cette défaillance change de nature ici

Sur un site de petites annonces généraliste, ce type de fuite est gênant. Sur un site où la personne visible sur la photo est un prestataire indépendant dont les revenus dépendent du fait d'être joignable, mais dont la sécurité dépend du fait de ne pas être localisable, la même fuite relève d'une toute autre catégorie de problème. L'adresse n'est pas une information secondaire sur le vendeur d'un canapé d'occasion. C'est précisément la seule information qu'une annonce est conçue, dès l'origine, pour ne jamais révéler, dissimulée tranquillement dans le fichier, sous la photo que l'annonceur a choisi de montrer.

L'ampleur de ce qu'une seule exposition de données peut représenter est devenue concrète en juillet 2025, lorsque l'application de sécurité pour rencontres Tea a révélé que des pirates avaient accédé à environ 72 000 images depuis une base de données exposée : environ 13 000 selfies et pièces d'identité photographiques soumis pour la vérification des comptes, et environ 59 000 images issues de publications, de commentaires et de messages privés. L'entreprise a indiqué qu'aucun e-mail ni numéro de téléphone n'avait été exposé, et que seuls les comptes créés avant février 2024 étaient concernés. Personne n'a affirmé que les attaquants avaient spécifiquement recherché des données de localisation intégrées dans ce lot d'images, et cet article ne l'affirme pas non plus.

Ce que la fuite de Tea démontre réellement est plus restreint, mais plus utile : dès qu'une plateforme conserve et diffuse le fichier brut, non traité, qu'une application ou un navigateur a téléversé à l'origine, tout ce que ce fichier contient voyage avec lui vers chaque endroit où il finit par atterrir, qu'il y ait piratage ou non. Une annonce de petites annonces n'a pas besoin d'un pirate pour que cela se produise. C'est la plateforme elle-même qui remet le fichier au public, volontairement, chaque fois qu'une photo est mise en ligne sans que les métadonnées n'aient été retirées au préalable.

Un problème ancien, banal, déjà résolu

Ce qui est rassurant, c'est qu'il ne s'agit pas d'un problème technique difficile, et cela fait longtemps que ce n'en est plus un. Facebook et Instagram retirent les métadonnées de localisation de la copie de la photo qu'ils diffusent publiquement, et le font depuis des années, précisément parce qu'une plateforme qui reçoit des centaines de millions de téléversements par jour ne peut pas se permettre d'avoir cette conversation individuellement avec chaque utilisateur. Le traitement est effectué une seule fois, de façon centralisée, dans le chemin de code que chaque photo traverse déjà avant sa publication, sans que personne qui téléverse une photo d'anniversaire n'ait jamais à y penser.

La défaillance apparaît, sans surprise, sur les plateformes plus petites et plus spécialisées qui n'ont jamais intégré cette étape, parce que personne, dans une petite équipe, n'en avait la responsabilité, et qu'aucun utilisateur n'ouvre jamais un ticket d'assistance pour réclamer une fonctionnalité dont il ignore l'absence. Une étude universitaire de 2024 portant sur des applications de rencontres géolocalisées a révélé que l'un des services étudiés, MeetMe, diffusait encore les photos avec les métadonnées EXIF d'origine intactes, alors que toutes les autres applications de la même étude les avaient correctement supprimées. L'écart entre les plateformes qui ont résolu ce problème et celles qui n'y sont jamais arrivées n'a rien à voir avec le degré de sensibilité du contenu. Il tient uniquement au fait que quelqu'un, côté technique, ait un jour pensé à cocher la case correspondante.

Cet écart compte autant sur le plan juridique que pratique. Des données de localisation aussi précises sont traitées comme une catégorie protégée à part dans le droit de la vie privée de plusieurs juridictions, et la loi californienne sur la vie privée classe spécifiquement la géolocalisation précise, définie comme une donnée situant une personne dans un rayon d'environ 564 mètres, parmi les informations personnelles sensibles soumises à ses propres règles. Un opérateur de site de petites annonces qui publie ces données par accident, dissimulées dans une photo que personne n'a examinée attentivement, n'est pas exempté de ces règles simplement parce que l'exposition était involontaire.

Pourquoi l'annonceur ne peut pas résoudre ce problème seul

La réponse la plus évidente, dire aux annonceurs de désactiver eux-mêmes le géomarquage, paraît raisonnable mais ne fonctionne pas en pratique. La plupart des gens n'ont jamais ouvert le réglage qui contrôle cette fonction, ignorent son existence, et n'ont aucune raison d'aller le chercher avant que quelque chose ne se soit déjà mal passé. Ceux qui en ont connaissance ont tendance à l'oublier chaque fois qu'ils changent de téléphone, car le réglage se réinitialise avec l'appareil. Or, une habitude qui doit être respectée sans faute, éternellement, par chaque annonceur, sur chaque appareil, sans aucune exception, n'est pas une mesure de sécurité. C'est un vœu pieux.

C'est le même angle mort qui apparaît partout où une plateforme confie la responsabilité d'une protection technique à la personne la moins équipée pour l'appliquer de façon systématique. L'opérateur se retrouve être la seule partie en mesure de garantir qu'une protection s'applique réellement à chaque fichier, à chaque fois, de la même façon que personne n'a jamais décidé volontairement combien de temps un document d'identité soumis devait rester sur un serveur, sauf qu'ici la décision qui n'a jamais été prise consiste à déterminer si une photo publiée doit encore pouvoir mener jusqu'à une porte d'entrée.

Ce que le pipeline de téléversement doit réellement faire

La solution relève entièrement du côté serveur, dans le code qui traite déjà chaque photo avant sa mise en ligne, et non d'un réglage que l'annonceur devrait se rappeler d'activer. Le réencodage d'une image, une opération que la plupart des pipelines de téléversement effectuent déjà pour la redimensionner et générer les versions plus petites nécessaires aux miniatures et aux aperçus, supprime les données EXIF comme effet secondaire selon certains outils, mais pas selon d'autres : la bibliothèque Sharp, très répandue, les retire par défaut au cours de ce traitement, tandis qu'ImageMagick, tout aussi répandue, les conserve à moins que l'opération ne précise explicitement l'option demandant de retirer les métadonnées. Les deux outils ne se comportent pas de la même façon par défaut, ce qui est précisément la raison pour laquelle on ne peut pas présumer que le problème est réglé simplement parce qu'une étape de redimensionnement existe déjà.

La seule façon de savoir quel comportement adopte réellement un pipeline donné est de le tester directement : prendre une photo avec un téléphone dont la localisation est activée, la téléverser en suivant exactement le même chemin qu'un annonceur réel utiliserait, puis télécharger le fichier que le site diffuse effectivement au public et vérifier ses métadonnées avec n'importe quel visualiseur EXIF gratuit. Si les coordonnées sont toujours présentes, c'est que l'étape de redimensionnement ne fait pas le travail qu'on lui supposait, quelle que soit la bibliothèque utilisée en arrière-plan.

Deux raccourcis échouent de la même façon et pour la même raison. Supprimer les métadonnées dans le navigateur avec du code côté client semble fonctionner, jusqu'au jour où un téléversement passe par une application mobile, un outil d'import en masse, ou un appel direct au même point d'entrée de téléversement, autant de cas où ce code exécuté dans le navigateur ne s'applique jamais. Et faire confiance à un widget de téléversement tiers en supposant qu'il a déjà réglé la question reste une hypothèse, pas une vérification, tant que personne n'a réellement effectué sur lui le test décrit au paragraphe précédent et regardé le résultat.

Rien de tout cela ne nécessite un nouvel avis juridique ni un consultant en sécurité. Cela demande simplement que quelqu'un effectue un test cette semaine : téléverser une photo géolocalisée en suivant le véritable parcours de création d'annonce, récupérer la version que le site renvoie, puis ouvrir ses métadonnées. Si les coordonnées reviennent absentes, le pipeline fait déjà son travail et rien d'autre n'a besoin de changer. Si elles sont encore là, c'est la seule correction de cette liste qui vaut la peine d'être faite avant la prochaine mise en ligne d'une annonce, car l'alternative consiste à publier une adresse personnelle chaque fois qu'un annonceur poste une photo, et à appeler cela une fonctionnalité que personne n'avait demandée.